Data Processing Agreement (DPA): Fungsi, Klausul, dan Dasar Hukum

Penggunaan layanan cloud, sistem HR, CRM, payroll, dan penyedia dukungan teknologi membuat pemrosesan data pribadi tidak selalu berlangsung di dalam infrastruktur perusahaan sendiri. Sebagian aktivitas dapat dilakukan oleh penyedia layanan yang memperoleh akses ke data karyawan, pelanggan, pemasok, maupun mitra bisnis.

Situasinya lebih kompleks ketika perusahaan memiliki beberapa badan hukum, unit bisnis, sistem terintegrasi, dan vendor yang menggunakan penyedia layanan lain. Perusahaan perlu memastikan batas akses, tujuan pemrosesan, serta tanggung jawab setiap pihak terdokumentasi dengan jelas. Salah satu instrumen kontraktual untuk mengaturnya adalah Data Processing Agreement (DPA).

Apa Itu Data Processing Agreement (DPA)?

Data Processing Agreement (DPA) adalah perjanjian yang mengatur pemrosesan data pribadi oleh Prosesor Data Pribadi atas nama Pengendali Data Pribadi. Dokumen ini menjelaskan ruang lingkup pemrosesan, instruksi yang harus diikuti, tanggung jawab para pihak, serta ketentuan lain yang mengatur penggunaan dan pelindungan data pribadi.

DPA membantu perusahaan menetapkan batas kewenangan penyedia layanan ketika memproses data. Misalnya, vendor payroll dapat mengolah data karyawan untuk menghitung gaji berdasarkan instruksi perusahaan. Vendor tidak otomatis berhak menggunakan data tersebut untuk tujuan lain di luar ruang lingkup yang disepakati.

Apakah DPA harus menjadi dokumen terpisah?

Tidak selalu. Pengaturan pemrosesan data dapat dituangkan dalam dokumen DPA tersendiri atau menjadi bagian dari perjanjian utama, seperti Master Service Agreement (MSA) maupun SaaS Agreement. Hal yang perlu diperhatikan adalah kejelasan substansi, keterikatan para pihak, dan kesesuaiannya dengan ketentuan yang berlaku.

Jika perusahaan memasukkan ketentuan DPA ke dalam kontrak utama, pastikan klausulnya tidak hanya menyebut bahwa vendor wajib menjaga kerahasiaan data. Perjanjian juga harus mengatur hubungan Pengendali dan Prosesor, instruksi pemrosesan, penggunaan Prosesor lain, serta tanggung jawab masing-masing pihak.

Struktur dokumen utama dan lampiran juga perlu diperhatikan. Ketika terdapat beberapa dokumen kontrak, perusahaan sebaiknya menetapkan urutan keberlakuan dokumen agar tidak muncul pertentangan antara ketentuan layanan, keamanan, dan pemrosesan data. Pengaturan semacam ini juga relevan ketika perusahaan menyusun Master Service Agreement untuk mengatur hubungan dengan penyedia jasa.

Apa Perbedaan Pengendali dan Prosesor Data Pribadi?

UU PDP membedakan Pengendali Data Pribadi dan Prosesor Data Pribadi berdasarkan peran mereka dalam pemrosesan data. Pengendali menentukan tujuan dan melakukan kendali atas pemrosesan, sedangkan Prosesor melakukan pemrosesan atas nama Pengendali.

Geser tabel

Penentuan peran tidak cukup hanya berdasarkan nama pihak dalam kontrak. Perusahaan perlu melihat aktivitas yang benar-benar dilakukan dan siapa yang menentukan tujuan pemrosesannya. Satu penyedia layanan juga dapat memiliki peran berbeda untuk aktivitas yang berbeda.

Contohnya, penyedia payroll dapat bertindak sebagai Prosesor ketika menghitung gaji berdasarkan instruksi perusahaan. Namun, untuk kegiatan lain yang memiliki tujuan pemrosesan sendiri, seperti pemenuhan kewajiban hukum penyedia atau pengelolaan akun pelanggannya, perannya perlu dinilai secara terpisah.

Bagaimana jika beberapa perusahaan dalam satu grup terlibat?

Perusahaan induk dan anak perusahaan tidak otomatis memiliki peran yang sama. Entitas yang menentukan tujuan dan mengendalikan pemrosesan perlu diidentifikasi berdasarkan aktivitasnya. Jika satu anak perusahaan bertindak sebagai Pengendali dan entitas lain memproses data atas namanya, hubungan keduanya perlu diatur sesuai peran tersebut.

Situasinya berbeda apabila dua atau lebih entitas bersama-sama menentukan tujuan dan melakukan kendali pemrosesan. Pasal 18 UU PDP mengatur pemrosesan oleh lebih dari satu Pengendali Data Pribadi, termasuk kebutuhan untuk mengatur peran, tanggung jawab, hubungan antar-Pengendali, dan narahubung bersama. Hubungan ini tidak tepat jika langsung diperlakukan sebagai hubungan Pengendali-Prosesor biasa.

Untuk memahami bagaimana peran tersebut muncul dalam ekosistem layanan digital, perusahaan dapat melihat hubungan Pengendali dan Prosesor dalam rantai proses tanda tangan elektronik.

Kapan Perusahaan Memerlukan DPA?

Perusahaan perlu mempertimbangkan DPA ketika menunjuk pihak lain untuk memproses data pribadi atas namanya. Kebutuhannya biasanya muncul ketika aktivitas operasional melibatkan penyedia layanan eksternal yang mengakses, menyimpan, mengubah, atau menggunakan data pribadi sesuai instruksi perusahaan.

Beberapa contoh hubungan bisnis yang perlu dievaluasi antara lain:

• Layanan cloud dan SaaS. Penyedia menyimpan atau memproses data karyawan, pelanggan, transaksi, maupun dokumen perusahaan.
• Layanan HR dan payroll. Penyedia mengelola informasi karyawan, komponen gaji, data rekening, atau administrasi ketenagakerjaan.
• Outsourcing dan business process outsourcing. Penyedia mengakses data pelanggan atau karyawan untuk menjalankan layanan operasional sesuai instruksi perusahaan.
• Layanan dukungan pelanggan. Vendor mengakses riwayat komunikasi, identitas pelanggan, atau informasi transaksi untuk menangani permintaan layanan.
• Layanan verifikasi identitas. Penyedia memproses data identitas atau data biometrik sesuai kebutuhan dan instruksi dalam layanan yang diberikan.

Contoh di atas bukan berarti seluruh vendor tersebut otomatis berstatus Prosesor. Perusahaan tetap perlu menilai tujuan dan aktivitas pemrosesannya. Vendor yang hanya memasok perangkat kantor tanpa memproses data pribadi, misalnya, tidak otomatis membutuhkan DPA hanya karena memiliki hubungan bisnis dengan perusahaan.

Sebelum kontrak disetujui, perusahaan sebaiknya melakukan pemeriksaan latar belakang dan risiko pihak yang akan dilibatkan. Penilaian tersebut perlu mencakup akses terhadap data, kemampuan pengamanan, ketergantungan pada penyedia lain, dan dampak jika layanan terganggu.

Apa Perbedaan DPA dengan Privacy Policy, NDA, dan SaaS Agreement?

Perusahaan dapat menggunakan beberapa dokumen untuk mengatur hubungan dengan penyedia layanan dan mengelola data pribadi. Namun, masing-masing dokumen memiliki tujuan yang berbeda. Menggunakan NDA atau Privacy Policy saja tidak otomatis memenuhi kebutuhan pengaturan pemrosesan antara Pengendali dan Prosesor.

Geser tabel

Perbedaan ini penting karena kewajiban menjaga kerahasiaan belum mencakup seluruh tanggung jawab pemrosesan data. NDA, misalnya, dapat melarang pengungkapan informasi kepada pihak yang tidak berwenang, tetapi belum tentu mengatur daftar subprosesor, instruksi pemrosesan, hak audit, atau penghapusan data setelah layanan berakhir.

Privacy Policy juga memiliki fungsi berbeda. Dokumen tersebut menjelaskan praktik pemrosesan kepada Subjek Data Pribadi, bukan menggantikan perjanjian antara Pengendali dan Prosesor.

Apa Dasar Hukum Data Processing Agreement di Indonesia?

Pengaturan hubungan Pengendali dan Prosesor di Indonesia mengacu pada UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Salah satu ketentuan pentingnya terdapat pada Pasal 51 yang mengatur kewajiban Prosesor ketika ditunjuk oleh Pengendali.

Berdasarkan pasal tersebut:

• Prosesor wajib melakukan pemrosesan data pribadi berdasarkan perintah Pengendali.
• Pemrosesan oleh Prosesor tetap termasuk dalam tanggung jawab Pengendali.
• Prosesor harus memperoleh persetujuan tertulis dari Pengendali sebelum melibatkan Prosesor lain.
• Jika Prosesor memproses data di luar perintah dan tujuan yang ditetapkan Pengendali, pemrosesan tersebut menjadi tanggung jawab Prosesor.

Ketentuan tersebut menjadi dasar untuk mengatur instruksi dan pembagian tanggung jawab dalam DPA. Perusahaan dapat membaca ketentuan UU Pelindungan Data Pribadi yang mengatur kewajiban para pihak untuk memahami kerangka hukumnya secara lebih luas.

Apa yang diatur PP Nomor 33 Tahun 2026?

PP Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP memperjelas pengaturan penunjukan Prosesor. Pasal 13 mengatur penunjukan Prosesor oleh Pengendali, sedangkan Pasal 14 menetapkan 11 unsur minimum yang harus dimuat dalam perjanjian penunjukan tersebut.

PP 33/2026 diundangkan pada 16 Juli 2026 dan mulai berlaku enam bulan setelah tanggal pengundangan, yaitu 16 Januari 2027. Karena itu, perusahaan dapat menggunakan periode sebelum pemberlakuan tersebut untuk meninjau perjanjian vendor dan menyiapkan penyesuaian yang diperlukan.

Apa Saja 11 Unsur Perjanjian DPA Menurut PP 33/2026?

Pasal 14 PP 33/2026 menetapkan 11 unsur minimum dalam perjanjian penunjukan Prosesor Data Pribadi. Unsur tersebut mencakup ruang lingkup dan cara pemrosesan, informasi data yang diproses, tanggung jawab para pihak, hingga mekanisme pengawasan.

Geser tabel

Daftar tersebut merupakan unsur minimum menurut Pasal 14. Perusahaan tetap perlu menerjemahkannya menjadi ketentuan yang sesuai dengan karakter layanan, jenis data, risiko pemrosesan, dan struktur vendor yang terlibat. Satu klausul yang terlalu umum dapat menyulitkan perusahaan ketika harus membuktikan siapa yang bertanggung jawab atas aktivitas tertentu.

Bagaimana mengatur keterlibatan subprosesor?

Rantai pemrosesan data tidak selalu berhenti pada vendor yang menandatangani kontrak dengan perusahaan. Penyedia SaaS, misalnya, dapat menggunakan penyedia cloud, layanan infrastruktur, atau mitra dukungan teknis yang juga memiliki akses terhadap data pribadi.

Pasal 15 PP 33/2026 mengatur lebih lanjut bahwa:

• Prosesor dapat melibatkan Prosesor Data Pribadi lain untuk melakukan pemrosesan.
• Prosesor wajib memperoleh persetujuan tertulis dari Pengendali sebelum melibatkan Prosesor berikutnya.
• Prosesor harus memastikan pihak berikutnya melakukan pemrosesan sesuai ketentuan PP 33/2026.
• Penunjukan Prosesor berikutnya harus diatur dalam perjanjian tertulis dengan memperhatikan tingkat Pelindungan Data Pribadi yang setara sesuai kesepakatan dalam perjanjian utama.

Karena itu, perusahaan sebaiknya tidak hanya meminta vendor utama menyatakan bahwa mereka menggunakan subprosesor. Perusahaan juga perlu memahami siapa pihak tersebut, layanan apa yang diberikan, data apa yang dapat diakses, serta bagaimana perubahan rantai vendor akan diberitahukan dan disetujui.

Risiko ini berkaitan dengan pengelolaan risiko pihak ketiga yang terlibat dalam operasional perusahaan. Semakin panjang rantai penyedia layanan, semakin penting perusahaan memiliki informasi yang dapat ditelusuri mengenai pihak-pihak yang terlibat.

Contoh di sektor kesehatan memperlihatkan mengapa hal tersebut penting. Penyedia sistem dapat memproses informasi pasien untuk fasilitas kesehatan, sementara infrastruktur atau layanan pendukungnya melibatkan pihak lain. Perusahaan dapat melihat kewajiban penyedia sistem kesehatan yang bertindak sebagai Prosesor sebagai contoh konteks sektoral.

Apa yang Perlu Diperiksa Selain 11 Unsur Minimum DPA?

Memenuhi 11 unsur perjanjian belum otomatis membuat pengelolaan vendor berjalan dengan baik. Perusahaan perlu memastikan klausul yang disepakati dapat diterapkan dalam proses operasional dan menghasilkan bukti yang dapat diperiksa.

Beberapa area berikut layak menjadi perhatian dalam peninjauan kontrak.

1. Pemetaan alur dan lokasi pemrosesan data

Perusahaan perlu mengetahui dari mana data berasal, sistem yang digunakan, pihak yang mengakses, dan lokasi pemrosesannya. Pemetaan ini penting ketika data berpindah antara sistem internal, penyedia cloud, dan vendor yang berkedudukan di negara lain.

Jika pemrosesan melibatkan transfer data pribadi ke luar wilayah Indonesia, perusahaan perlu menilai persyaratan transfer lintas negara berdasarkan Pasal 56 UU PDP. Pemeriksaan sebaiknya tidak hanya melihat lokasi pusat data, tetapi juga memperhatikan pihak dan lokasi yang dapat mengakses data dalam pelaksanaan layanan.

2. Pengamanan data dan penanganan insiden

DPA sebaiknya menjelaskan standar pengamanan yang harus diterapkan vendor sesuai risiko pemrosesan. Perusahaan juga perlu mengetahui prosedur pelaporan insiden, jalur eskalasi, dan bantuan yang harus diberikan vendor ketika terjadi kegagalan pelindungan data pribadi.

Hal ini penting karena Pengendali memiliki kewajiban pemberitahuan tertulis atas kegagalan pelindungan data pribadi sesuai Pasal 46 UU PDP. Vendor perlu memberikan informasi dan dukungan yang cukup agar perusahaan dapat mengevaluasi kejadian dan memenuhi kewajibannya. Peninjauan kontrol keamanan dapat dilengkapi dengan pengenalan kontrol keamanan untuk melindungi data perusahaan.

3. Pengawasan dan bukti pemrosesan

Hak audit tidak cukup hanya dicantumkan sebagai satu kalimat dalam kontrak. Perusahaan perlu memahami dokumentasi apa yang dapat diminta, bagaimana proses inspeksi dilakukan, dan bagaimana temuan audit ditindaklanjuti.

Catatan pemrosesan juga perlu konsisten dengan inventaris aktivitas pemrosesan perusahaan. Misalnya, perusahaan dapat membandingkan informasi dalam DPA dengan pencatatan aktivitas pemrosesan melalui Record of Processing Activities (RoPA) untuk melihat apakah tujuan, kategori data, dan pihak yang terlibat sudah selaras.

4. Retensi, pengembalian, dan penghapusan data

Kontrak perlu menjelaskan apa yang terjadi pada data pribadi ketika layanan berakhir. Apakah vendor harus mengembalikan data, menghapusnya, atau mempertahankan salinan tertentu karena kewajiban hukum? Perusahaan juga perlu mengetahui bagaimana penghapusan dilakukan pada salinan cadangan dan sistem pendukung.

Ketentuan retensi harus selaras dengan tujuan pemrosesan dan kewajiban penyimpanan yang berlaku. Untuk memahami kaitan retensi dengan dokumen elektronik, perusahaan dapat melihat pengaturan masa retensi data dalam alur tanda tangan elektronik.

Apakah GDPR Juga Mengatur Data Processing Agreement?

Selain UU PDP, perusahaan yang menjalankan aktivitas pemrosesan dalam cakupan General Data Protection Regulation (GDPR) Uni Eropa perlu memperhatikan Article 28. Ketentuan tersebut mengatur hubungan antara data controller dan data processor, termasuk kewajiban untuk mengikat pemrosesan melalui kontrak atau instrumen hukum yang relevan.

GDPR tidak otomatis berlaku hanya karena perusahaan memiliki pelanggan dari luar negeri. Berdasarkan Article 3, cakupannya antara lain meliputi pemrosesan dalam konteks kegiatan perusahaan yang memiliki establishment di Uni Eropa, serta pemrosesan oleh pihak di luar Uni Eropa yang menawarkan barang atau jasa kepada individu di Uni Eropa atau memantau perilaku mereka di wilayah tersebut.

Apa kewajiban utama dalam Article 28 GDPR?

Article 28 mengatur sejumlah hal yang perlu dimuat dalam kontrak controller dan processor, antara lain:

• Processor hanya boleh memproses data berdasarkan instruksi terdokumentasi dari controller.
• Pihak yang diberi wewenang mengakses data harus terikat kewajiban kerahasiaan.
• Processor harus menerapkan langkah pengamanan yang sesuai.
• Pelibatan subprocessor harus mengikuti persetujuan tertulis controller, baik secara spesifik maupun umum sesuai ketentuan GDPR.
• Processor membantu controller memenuhi kewajiban terkait permintaan hak Subjek Data Pribadi, keamanan, pelaporan insiden, dan penilaian dampak pelindungan data.
• Processor mengembalikan atau menghapus data pribadi setelah layanan berakhir sesuai pilihan controller, kecuali penyimpanan diwajibkan oleh hukum.
• Processor menyediakan informasi yang diperlukan untuk membuktikan kepatuhan dan mendukung audit atau inspeksi.

Pengaturan ini menunjukkan bahwa perusahaan perlu menilai DPA berdasarkan yurisdiksi dan kewajiban yang berlaku pada aktivitas pemrosesan terkait. Jika suatu perusahaan berada dalam cakupan GDPR sekaligus UU PDP, peninjauan kontrak perlu mempertimbangkan kedua kerangka tersebut, bukan menganggap salah satunya otomatis menggantikan yang lain.

Apa Checklist Perusahaan Sebelum Menandatangani DPA?

Sebelum menyetujui DPA, perusahaan perlu memeriksa apakah isi kontrak sesuai dengan aktivitas pemrosesan yang benar-benar terjadi. Pemeriksaan sebaiknya melibatkan pihak yang memahami proses bisnis, kontrak, teknologi, dan pelindungan data pribadi.

Ruang lingkup dan peran para pihak

• Apakah badan hukum yang bertindak sebagai Pengendali dan Prosesor sudah diidentifikasi dengan benar?
• Apakah tujuan, jenis data, kategori subjek data, dan instruksi pemrosesan sudah spesifik?
• Apakah ruang lingkup DPA sesuai dengan layanan yang benar-benar digunakan oleh perusahaan?

Vendor dan rantai pemrosesan

• Apakah seluruh Prosesor berikutnya yang relevan telah diidentifikasi?
• Apakah mekanisme persetujuan dan pemberitahuan perubahan subprosesor telah diatur?
• Apakah lokasi pemrosesan, akses, dan potensi transfer lintas negara sudah dievaluasi?

Keamanan dan pengawasan

• Apakah standar keamanan dan kerahasiaan dapat dievaluasi berdasarkan bukti?
• Apakah prosedur pelaporan insiden dan dukungan vendor sudah jelas?
• Apakah hak pengawasan, dokumentasi, audit, dan inspeksi dapat dilaksanakan?

Pengakhiran layanan dan retensi

• Apakah masa pemrosesan serta masa retensi data sudah ditentukan?
• Apakah mekanisme pengembalian dan penghapusan data setelah layanan berakhir sudah disepakati?
• Apakah tanggung jawab vendor atas salinan data dan sistem pendukung telah dijelaskan?

Checklist tersebut dapat digunakan sebagai dasar peninjauan kontrak, tetapi bukan pengganti penilaian hukum atau audit keamanan. Perusahaan perlu menyesuaikan pemeriksaan dengan karakter pemrosesan, tingkat risiko, dan kewajiban sektoral yang berlaku.

Bagaimana Mekari Sign Mendukung Pengelolaan DPA dalam Siklus Hidup Kontrak?

Setelah disepakati, DPA perlu dikelola bersama kontrak utama, lampiran layanan, dan perubahan perjanjian. Perusahaan juga perlu memastikan versi dokumen, riwayat persetujuan, dan masa berlaku kontrak dapat ditelusuri, terutama ketika melibatkan banyak entitas dan vendor.

Mekari Sign merupakan Intelligent Contract Management Software (ICMS) yang mengintegrasikan pengelolaan dokumen dan kontrak dalam satu platform. Mekari Sign menyediakan tanda tangan elektronik tersertifikasi melalui kemitraan dengan PSrE PT Tilaka Nusa Teknologi, e-Meterai, eKYC, audit trail, contract management, dan integrasi sistem.

Selain itu, Mekari Sign didukung berbagai fitur untuk mendukung pengelolaan dokumen perjanjian seperti DPA:

• Pengelolaan siklus hidup kontrak. Fitur manajemen kontrak, dan manajemen dokumen membantu perusahaan mengelola dokumen sejak penyusunan, persetujuan, penandatanganan, hingga penyimpanan.
• Persetujuan dokumen. Fitur approval mendukung alur persetujuan digital, sedangkan manajemen pengguna membantu mengatur akses dan kolaborasi dalam pengelolaan dokumen.
• Pengesahan dan verifikasi identitas. Tanda tangan elektronik tersertifikasi, e-Meterai, dan eKYC mendukung proses pengesahan serta verifikasi identitas penandatangan.
• Ketertelusuran dan pemantauan kontrak. Audit trail membantu menelusuri aktivitas dokumen, sementara Document Reminder mengingatkan pengguna tentang tenggat dan masa berlaku kontrak.
• Efisiensi dan integrasi proses. Open API mendukung integrasi dengan sistem internal, bulk signing mempercepat penandatanganan banyak dokumen, dan template dokumen menyederhanakan persiapan dokumen berulang.

Perusahaan dapat mengelola proses dan dokumentasi kontrak secara lebih terstruktur dalam satu platform. DPA pun dapat menjadi bagian dari siklus pengelolaan kontrak yang mudah ditelusuri, bukan sekadar dokumen yang disimpan setelah ditandatangani.

Mekari Sign mendukung pengelolaan dokumen dan kontrak, bukan menggantikan penilaian hukum, pemetaan alur data, asesmen keamanan vendor, penyusunan DPIA, atau pemantauan kepatuhan pemrosesan data. Tanggung jawab tersebut tetap berada pada perusahaan bersama fungsi terkait.

Pelajari bagaimana Mekari Sign dapat mendukung pengelolaan dokumen dan kontrak di perusahaan Anda!

Referensi hukum:

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, terutama Pasal 18, Pasal 46, Pasal 51, dan Pasal 56.
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, terutama Pasal 13–15.
• Regulation (EU) 2016/679 atau General Data Protection Regulation (GDPR), terutama Article 3 dan Article 28.